AirVPN против NordVPN

Что показывают темы форума. Темы форума показывают, что пользователи неоднократно просили AirVPN о канарейке ордера, но сотрудники не подтверждали наличие такой канарейки; это указывает на её возможное отсутствие, но не является первичным отрицанием, поэтому P07 остаётся неизвестно, а не «нет».

Количество, которое никто не публикует. Поэтому количество запросов и передач данных также неизвестно (P08, P09), а общее количество подписчиков никогда не раскрывается (M08 неизвестно) — AirVPN публикует только счётчик одновременно подключённых пользователей в реальном времени, а не общее количество зарегистрированных пользователей или подписчиков, поэтому молчание или незнание здесь имеют реальный вес.

Сборки и пентесты. Воспроизводимые сборки не задокументированы на собственной странице AirVPN по сборке из исходного кода (eddie.website/support/build/), а найти отдельный пентест клиента или инфраструктуры не удалось (V13, V14 неизвестно). Область действия аварийного отключения и поведение раздельного туннелирования взяты из стороннего обзора, а не из собственной документации AirVPN (U08, U09 с уровнем достоверности C), поскольку соответствующие страницы FAQ не удалось напрямую открыть через маршрутизацию сайта (они отображаются через JavaScript и при обычном запросе вернули только оболочку загрузки).

Освещение за пределами аффилированных источников. Освещение в прессе не ограничивается аффилированными источниками: BleepingComputer, крупное издание, не входящее в список агрегаторов аффилированных источников, опубликовало независимый обзор с собственным уведомлением о раскрытии аффилированной связи, а не ограничилось каталогами аффилированных источников (X08=no). В том же обзоре также установлено, что AirVPN не справился ни с одним из проверенных потоковых сервисов — Netflix, Hulu, HBO Max, Amazon Prime Video, Disney+, ABC, NBC, CBS, — поэтому теперь U12b_streaming_works имеет значение no, а не полученное ранее из addictivetips.com значение partial, которое использовалось до того, как этот источник был признан запрещённым.

Годовая цена. U04b_price_yearly=4,08 — это эффективная помесячная цена в EUR для годового плана (49 EUR/год) на airvpn.org/buy/, не меняющаяся при продлении, как и цена любого срока AirVPN.

Текстовый логотип. AirVPN предоставляет свой текстовый логотип только в формате PNG (/static/img/logo/web_header.png, logo_horiz.png) и не имеет страницы для прессы или страницы бренда, поэтому logos/airvpn.svg оставлен отсутствующим в соответствии с AUDITOR.md §1, а растровое изображение не обводилось.

Канарейка и заменивший её квартал. На той же странице канарейка предписаний была отменена (P07=removed) в пользу ежеквартальных отчётов о прозрачности; последний завершённый квартал (апрель–июнь 2026 года) показывает 85 запросов от государственных органов и 0 раскрытий, поэтому P08/P09 относятся к этому периоду, а не к показателю за весь период.

Индия и режим тайных предписаний. P04=withdrew_physical — это уход из Индии в июне 2022 года. P11=none_known основан на заявлении страницы о том, что NordVPN не получал обязательных National Security letters или запретов на разглашение, а также на отсутствии такого режима в Панаме.

Уровень уверенности, который никто не может проверить. NordVPN описывает работу Deloitte Lithuania как аудит с reasonable уверенностью по ISAE 3000 (Revised), что было бы более сильной формой; в доступном для чтения отчёте PIA указано заключение об ограниченной уверенности.

Почему более сильная форма не засчитывается. Теперь модель учитывает эту разницу, но эта запись не получает выгоды от неё: V15_assurance_strength имеет значение unknown, поскольку единственное заявление об уровне принадлежит самому NordVPN и касается отчёта, который никто за пределами Nord Account открыть не может. Документ за страницей входа не является здесь доказательством ни на каком уровне, поэтому аудит засчитывается по рыночной норме, а не на уровне, которого, как заявлено, он достиг.

Отчёт, доступный только после входа. Сам отчёт можно прочитать только после входа в Nord Account, поэтому никто за пределами этих отношений не проверял его охват, и каждое поле аудита здесь основано на собственном резюме NordVPN, а не на документе. Именно это, а не вывод против сервиса, делает эту запись самой скудной в каталоге.

Примечательная практическая деталь: опубликованные стенограммы заседаний федерального суда США по делу United States v. Klyushin (D. Mass., docket 61629108, документы №183 и №217), найденные через CourtListener/RECAP, показывают, что устройство pen register для правоохранительных органов было установлено непосредственно у хостинговой компании (DediPath), а не у AirVPN, чтобы отслеживать IP-адрес сервера AirVPN в январе—феврале 2020 года; сотрудники AirVPN, отвечая на своём форуме, подтвердили, что компания не знала о перехвате и не участвовала в нём, а устройство пришлось устанавливать за пределами собственных систем AirVPN.

Это записано в P12_case_history как событие court_order/nothing_produced, источник которого — подтверждение на собственном форуме AirVPN (а не сами PDF-файлы PACER, которые возвращали 403 при автоматической загрузке и были прочитаны только через вторичное резюме).

Взлом дата-центра в Финляндии в 2018 году был проникновением третьей стороны, а не изъятием правоохранительными органами — он записан в P12_case_history как kind=breach, а не в P01_seizure_event. Собственное описание NordVPN (nordvpn.com/blog/official-response-datacenter-breach/) и одновременное освещение в Bloomberg согласуются в том, что раскрытие последовало за заявлениями в Twitter внешних исследователей, а не было инициативой NordVPN, — поэтому используется third_party_disclosed, а не self_disclosed_late.

NordVPN и Surfshark имеют общего владельца (Nord Security), но в объявлении обеих компаний о слиянии указано, что инфраструктура и планы развития продуктов остаются раздельными; на этом основании для M18 задано значение separate.